跑腿小哥Ezra的困境：AI替你买东西为什么会让商家抓狂

过去三十年间，全球互联网商业文明的大厦几乎完全建立在一个核心假设之上：在浏览器与手机屏幕的背后，始终坐着一个具备生理局限与行为特征的自然人。商家的服务器总能通过网络地址、设备指纹与操作节奏，模糊却有效地勾勒出访问者的真实轮廓。然而随着自主智能体技术的狂飙突进，越来越多的消费者习惯于将比价、抢购与采购生鲜等繁琐操作托付给云端代理，这一维系了数十年的底层信任基石正在迅速瓦解。

为了揭示这场新型人机交互困局背后的深层危机，安全提供商 Cloudflare 在 2026 年 11 月 5 日发布的技术白皮书中，构想了一个极具象征意味的寓言角色：跑腿小哥 Ezra。他既不是黑客僵尸网络，也不是单纯抓取公开信息的数据爬虫，而是一个背负着真实人类采购意图的合法代理人。然而正是这个勤勉守序的新型角色，却以一种看似合情合理的方式，将商家、支付网关与风控系统逼入了全面崩溃的边缘。

01

当买家变成跑腿小哥：网络中间人带来的新现象

用户不再直接访问电商网站，而是演变成了一种崭新的三角委托格局：人类在后方下达意图，智能体充当全权代理在中间奔走，而商家的服务器只能被动接待这些不知疲倦的数字劳工。网络中间人（Man-in-the-Middle）形态正以浩大规模卷土重来。

面对这种汹涌而来的代理流量，传统网络安全防御的肌肉记忆正陷入前所未有的进退失据。在过去的运维逻辑中，网站一旦检测到网络代理或自动化脚本特征，最省事的策略就是直接拔掉网线，向用户弹出一道冷冰冰的拦截页面，要求其关闭代理工具后重试。

但历史的经验往往难以适应当下的转折。当智能体代客消费成为潮流，自动化代理流量极有可能占据网络零售的半壁江山。如果一家商业网站依然恪守传统的黑白名单思维，将不带人类生物体温的请求一律拒之门外，无异于在商业上亲手斩断自己的客源与未来。

02

三桩日常委托与商家的连环噩梦：关于争议的真实案例

要真正看清跑腿小哥 Ezra 给商业世界带来的破坏，必须深入到他在虚拟小镇上承接的三桩极具代表性的日常委托案例之中：

第一桩委托属于忠实顾客 Amy：偏好断层与情感清零。 在跑腿小哥出现之前，社区杂货铺的老板对 Amy 的饮食偏好与生活节奏了如指掌：他知道 Amy 周二喜欢购买特定农场的燕麦奶，懂得在水果成熟的季节为她预留新品。然而当 Amy 雇佣 Ezra 替自己跑腿后，店老板再也看不到 Amy 进门的身影，取而代之的是 Ezra 面无表情地掏出一张混杂了四家需求的表格，机械核对条码并快速结账离去。杂货铺彻底丧失了与核心用户的双向连接，长期维系的客群画像归零，退化成了干瘪的货架搬运。

第二桩委托发生在顾客 Bob 身上：友好欺诈与举证黑洞。 Bob 委托跑腿小哥前往数码店，代购了一部价值上千美元的最新款智能手机。商品如期妥投到了 Bob 的家门口，包装完好无损。然而几天之后，Bob 拨通了发卡行电话发起大额信用卡争议拒付，理由极为充分：坚称自己近期从未打开过该商城，家里的电脑没有任何浏览记录，纯属未授权盗刷。在这场「友好欺诈」交锋中，专卖店服务器日志里留存的只有机房网络地址与通用自动化请求头，根本拿不出任何证明这笔交易出自 Bob 授意的硬核铁证。更要命的是，在现行信用卡组织规则中，AI 智能体的法定地位完全为零，货物损失与争议罚款只能由无辜商家全额吞下。

第三桩委托涉及恶意顾客 Charlie：撞库连坐引发公共灾难。 Charlie 在暗网买到了一批被盗银行密码，他把清单交给 Ezra 代表自己前往银行在线网关逐一尝试登录。银行实时安全系统反应敏锐，迅速将发起高频探测的源头机房 IP 列入黑名单彻底阻断。然而，由于 Ezra 运行在多租户共享的公共云端基础设施之上，当银行风控系统将源头 IP 一网打尽时，那些在同一时刻通过该服务合法办理转账业务的 Amy、Bob 和 Debra，瞬间被毫无差别地关在大门之外——银行为了防范一个恶意操作者，却误杀了整栋楼的守法客户。

03

十四道传统防线全面失灵：成本为什么全落在网站身上

跑腿小哥 Ezra 所引爆的三桩荒诞冲突绝非极端个案。Cloudflare 经过长达数月的真实流量审计与推演，系统性梳理出了整整十四道在智能体面前形同虚设的传统网络安全与风控防线：

从区分人机的图灵验证码（CAPTCHA）、生物特征行为分析，到防范薅羊毛的账户共享检测、反洗钱层面的合规身份核验（KYC）；从识别盗号的设备指纹库、基于风险的自适应认证（RBA）引擎，到保障高可用的资源限流与防拒绝服务网络，现代互联网赖以生存的核心立柱集体告急。

传统支付风控哲学的底层逻辑，始终高度依赖于向恶意操作者施加物理摩擦力——利用人类耐心有限的生理弱点遏制黑产。然而当交互主体换成了云端智能体，所有的生理摩擦力瞬间化为乌有：智能体不知疲倦，不需睡眠，以极高并发穿梭循环。更严峻的问题在于网络拓扑变迁带来的成本单向转移：用户享受无感便利，而服务器带宽负荷、举证断裂的死局、拒付罚金与防范欺诈的坏账，被单向甩给了商业网站与收单机构。

04

直觉修补方案的逻辑悖论：为什么简单限制解决不了问题

面对失控风险，业界自然涌现出各种直觉性的客户端修补思路，但无一例外陷入了逻辑悖论：

第一种思路是重推「人在回路」（Human-in-the-Loop）。如果用户使用智能体代购，手机却在接下来的一小时内连珠炮般弹出十几次指纹确认与短信验证码拦截，这种体验与人工操作相比毫无优越性可言，直接消解了智能体解放生产力的核心卖点。

第二种思路是收紧权限与单次额度限制。一些平台建议将智能体的消费限额压低至极小区间并颁发短期令牌。这种策略虽能防范账户被完全搬空的大额盗刷，但现代数字消费中最具杀伤力的是成千上万笔单笔 30 到 50 美元的小额日常消费。当大量用户借口「AI 买错了型号」发起连环争议拒付时，聚沙成塔的诉讼成本依然足以拖垮中小电商。

当代码开始具备替人类花钱的权力时，唯有把问责机制牢牢焊死在底层协议的钢筋水泥之中，数字商业才能在智能体的狂潮中守护住最坚固的信任锚点。

05

受信任智能体委派架构：向IETF标准草案演进的解法

走出中间人困境的破局之钥，在于彻底告别「全盘放行挨宰 vs 一律阻断断粮」的二元对立，转向在底层网络协议中重建一整套受信任智能体委派（Trusted Agent Delegation, TAD）机制。Cloudflare 联合全球前沿机构发起了 TAD 联盟，并正式向国际互联网工程任务组（IETF）提交了标准草案。

该治理框架的核心支柱，建立在对身份、声誉与问责三个关键维度的解耦与重塑之上：

1. 分级哈希用户标识（Hashed User IDs）：当 Ezra 受雇代表 Amy 或 Bob 发起采购时，智能体必须在请求中出示一段由密码学保障的委派证书，在隐匿用户敏感隐私的前提下，向商家证明该请求确实锚定在一个经过信誉核验且具备唯一指纹的合法账户之上。
2. 智能体声誉网络与动态评分：依托跨平台声誉网络综合评估历史履约记录，摒弃对死板设备指纹的单点依赖。
3. 外科手术级精准阻断：当恶意操作者 Charlie 再次试图驱使 Ezra 撞库时，防御系统识别出的不再是机房网络段，而是直接锁定 Charlie 底层证书映射的恶意哈希标识，单向切断恶意通道，同一节点上的 Amy 与 Bob 完全不受影响。

06

金融风控的实战演进：防范智能体失控的三条行动建议

基于白皮书与协议演进，金融机构与零售平台应当在三个层面同步升级防护策略：

• 技术层：建立不可抵赖的密码学委派凭据。在放行智能体代客支付前，必须在系统内部留存完整的委托授权链路，确保在争议发生时具备合法合规的仲裁证据链。
• 风控层：转向智能体声誉网络与动态评分。彻底摒弃对传统设备指纹与生物特征的盲目迷信，根据 Agent 行为偏离度进行综合评分，构筑智能体时代的账户安全防线。
• 法理层：明确界定智能体在代理交易中的法律责任。推动信用卡组织与司法体系明确界定智能体在代理消费中的法定授权边界，杜绝友好欺诈成为无本套利的合规温床。

---

原文出处 / 来源链接：
1. Cloudflare 官方技术白皮书《Agents aren't humans (but they kinda are)》（作者 Bryan Becker，2026-11-05）
2. 配套产品与控制倡议《See the agents, set the terms: new visibility and control for personal agents》（Cloudflare Blog，2026-11-05）